六、非对称加密实战（ECC）：椭圆曲线密码学简介、ECC与RSA对比、C语言实现

聊到非对称加密，大家第一反应肯定是 RSA。没错，RSA 确实经典，用了这么多年。但今天我想跟你聊聊另一个家伙——ECC，椭圆曲线密码学。说实话，我早年做嵌入式安全方案时，RSA 的密钥长度和计算开销让我挺头疼的。后来接触到 ECC，才发现原来还有这么优雅的解法。

6.1 椭圆曲线密码学简介

椭圆曲线密码学，名字听着挺唬人。其实说白了，它就是在一种特殊的数学曲线上做点运算。这条曲线的方程长这样：

y² = x³ + ax + b

嗯，就这么简单。配上一些约束条件（比如判别式不为零），这条曲线就能用来做加密了。

ECC 的核心思想是：在椭圆曲线上，给定两个点 P 和 Q，如果你知道 P 和倍数 k，要算出 Q = kP 很容易。但反过来，给你 P 和 Q，让你求 k，那就难了。这就是所谓的「椭圆曲线离散对数问题」。

我在项目中遇到过一件事。有一次做物联网设备的密钥协商，设备性能很弱，RSA 2048 位的签名验签要跑好几秒。换成 ECC 后，同样的安全强度，密钥长度只有 256 位，速度直接翻了几倍。嗯，这就是 ECC 的魅力所在。

6.2 ECC 与 RSA 对比

咱们来做个直观对比。我整理了一张表，你一看就明白：

对比项	ECC	RSA
安全强度（等效）	256 位 ≈ RSA 3072 位	3072 位
密钥生成速度	快	慢（尤其大素数生成）
签名/解密速度	较快	较慢
验签/加密速度	较慢（依赖点乘）	快（公钥指数小）
带宽占用	低（密钥短）	高（密钥长）
算法成熟度	较新（但已广泛验证）	非常成熟
适用场景	移动端、IoT、高性能要求	传统服务端、兼容性优先

你想想看，为什么现在 HTTPS 证书越来越多用 ECC？说白了就是快、省带宽。我个人的习惯是：新项目优先考虑 ECC，除非有兼容性硬要求才用 RSA。

6.3 C 语言实现 ECC 加解密

好了，理论说完了，咱们直接上代码。这里我用的是 OpenSSL 的 EC 库。为什么选 OpenSSL？因为它是业界标准，跨平台支持好，而且我踩过的坑都帮你填平了。

先看密钥生成：

#include <openssl/ec.h>
#include <openssl/obj_mac.h>
#include <openssl/pem.h>

EC_KEY *generate_ecc_key(void) {
    EC_KEY *eckey = EC_KEY_new_by_curve_name(NID_X9_62_prime256v1);
    if (!eckey) {
        fprintf(stderr, "创建 EC_KEY 失败\n");
        return NULL;
    }

    // 生成密钥对
    if (!EC_KEY_generate_key(eckey)) {
        fprintf(stderr, "生成密钥对失败\n");
        EC_KEY_free(eckey);
        return NULL;
    }

    return eckey;
}

这里我选了 prime256v1 曲线，也就是 P-256。它是 NIST 推荐的曲线之一，安全性和性能比较均衡。我曾经试过用 secp384r1，但发现对大多数场景来说，P-256 已经绰绰有余了。

接下来是签名和验签：

int ecc_sign(EC_KEY *eckey, const unsigned char *msg, size_t msglen,
             unsigned char **sig, size_t *siglen) {
    ECDSA_SIG *signature = ECDSA_do_sign(msg, msglen, eckey);
    if (!signature) {
        fprintf(stderr, "签名失败\n");
        return -1;
    }

    // 将签名转换为 DER 格式
    *siglen = i2d_ECDSA_SIG(signature, sig);
    ECDSA_SIG_free(signature);

    return (*siglen > 0) ? 0 : -1;
}

int ecc_verify(EC_KEY *eckey, const unsigned char *msg, size_t msglen,
               const unsigned char *sig, size_t siglen) {
    ECDSA_SIG *signature = NULL;
    const unsigned char *p = sig;

    // 从 DER 格式恢复签名
    signature = d2i_ECDSA_SIG(NULL, &p, siglen);
    if (!signature) {
        fprintf(stderr, "解析签名失败\n");
        return -1;
    }

    int ret = ECDSA_do_verify(msg, msglen, signature, eckey);
    ECDSA_SIG_free(signature);

    return (ret == 1) ? 0 : -1;
}

这里有个细节要注意：ECDSA_do_sign 返回的签名是结构体，包含 r 和 s 两个大数。我习惯用 i2d_ECDSA_SIG 转成 DER 格式再传输，这样更通用。你想想看，如果直接传结构体，不同平台的内存对齐可能出问题。

最后是完整的加解密流程示例：

#include <openssl/rand.h>

int main() {
    // 初始化随机数生成器
    unsigned char seed[32];
    RAND_bytes(seed, sizeof(seed));
    RAND_seed(seed, sizeof(seed));

    // 生成密钥
    EC_KEY *alice_key = generate_ecc_key();
    EC_KEY *bob_key = generate_ecc_key();

    // 要签名的消息
    const char *msg = "Hello, ECC World!";
    unsigned char *sig = NULL;
    size_t siglen = 0;

    // Alice 签名
    if (ecc_sign(alice_key, (unsigned char*)msg, strlen(msg), &sig, &siglen) == 0) {
        printf("签名成功，长度: %zu 字节\n", siglen);
    }

    // Bob 验签（使用 Alice 的公钥）
    if (ecc_verify(alice_key, (unsigned char*)msg, strlen(msg), sig, siglen) == 0) {
        printf("验签通过！消息未被篡改。\n");
    } else {
        printf("验签失败！\n");
    }

    // 清理
    free(sig);
    EC_KEY_free(alice_key);
    EC_KEY_free(bob_key);

    return 0;
}

运行这段代码，你会看到签名成功和验签通过的消息。嗯，就是这么简单。

6.4 ECC 知识体系总览

为了让你对 ECC 有个整体把握，我画了张图：

从这张图你能看到，ECC 的根基是数学，中间是算法实现，最上层是各种应用场景。三者缺一不可。

好了，ECC 的核心内容就这些。从理论到代码，从对比到实战，你应该能感受到 ECC 的优雅和实用。下次做安全方案时，不妨试试它。

---

公众号:蓝海资料掘金营，微信deep3321